Audyt bezpieczeństwa IT Kielce

Dlaczego środowisko firmy budowlanej wygląda inaczej po każdej inwestycji?

Firma produkcyjna ma jeden adres i przez lata te same stanowiska. Firma budowlana z Kielc ma biuro, a obok niego zmienny zestaw miejsc pracy: kontener przy hali, którą właśnie stawia, biuro budowy pod Jędrzejowem, magazyn sprzętu i kilkanaście laptopów jeżdżących z ludźmi.

Każda inwestycja dokłada do środowiska te same elementy. Nowy tunel do centrali, żeby z placu dało się otworzyć rysunek. Konto dla projektanta, który prowadzi zmiany w dokumentacji. Wejście dla inspektora nadzoru do katalogu ze zdjęciami z odbiorów. Udostępniony folder dla podwykonawcy instalacji. Karta SIM w routerze, opłacana z faktury, o której pamięta wyłącznie księgowość.

Odbiór końcowy zamyka inwestycję w papierach i w harmonogramie. W systemach nie zamyka niczego, bo w dniu odbioru nikt nie ma głowy do listy dostępów. Po trzech latach takiego rytmu firma na dwadzieścia osób ma środowisko zbudowane z osadu po kilkunastu kontraktach i nie jest to niczyja wina, tylko naturalny skutek pracy w projektach.

Co zostaje w systemach po zamkniętym kontrakcie?

Element założony pod inwestycję	Kto miał go zamknąć	Co zwykle zastajemy
Konto projektanta zewnętrznego	kierownik kontraktu	działa, hasło bez zmiany od założenia
Wejście dla inspektora nadzoru	osoba, która je zakładała	aktywne, choć odbiór był rok temu
Folder udostępniony podwykonawcy	nikt nie ustalił	udostępnienie na cały katalog, nie na podfolder
Tunel z kontenera do centrali	brak właściciela	reguła na routerze zostaje po zwinięciu placu
Karta SIM w modemie na budowie	księgowość widzi fakturę	urządzenie w magazynie, transmisja czynna
Wspólne konto na komputer w kontenerze	brygada	hasło zna kilkanaście osób z różnych firm
Kopia dokumentacji na dysku zewnętrznym	kierownik budowy	dysk w szufladzie, bez szyfrowania

Ta tabela jest szkieletem pierwszego dnia badania. Nie zaczynamy od skanowania sieci, tylko od zestawienia listy kontraktów z ostatnich trzech lat z tym, co faktycznie działa w systemach. Dopiero różnica między jednym a drugim mówi, jak duże jest Wasze środowisko naprawdę.

Co oglądamy na czynnym placu, a czego nie widać z biura?

Zaplecze inwestycji jest jedynym miejscem, którego nie da się ocenić przez sieć. Router z modemem LTE stoi zwykle w kontenerze albo w baraku, razem z drukarką, przełącznikiem i przedłużaczem, a jego konfigurację ustawiał ten, kto akurat rozstawiał sprzęt. Sprawdzamy, czy panel zarządzania nie jest wystawiony na zewnątrz, czy hasło zmieniono po pierwszym uruchomieniu i czy sieć bezprzewodowa dla brygady jest oddzielona od tej, przez którą idzie tunel do serwera w Kielcach. Oględziny powtarzamy przy kolejnej inwestycji, bo dla inżyniera z kieleckiego biura jest to pół dnia, a nie osobna wyprawa.

Druga rzecz to fizyczny dostęp. Kontener otwiera rano ten, kto przyjdzie pierwszy, a wieczorem zamyka ostatni. Komputer, na którym kierownik prowadzi dziennik budowy, stoi tam przez cały tydzień, więc pytanie o szyfrowanie dysku i blokadę ekranu nie jest formalnością.

Trzecia to droga plików. Rysunki wędrują z biura na plac przez tunel, przez pocztę, przez dysk w chmurze albo przez pendrive kierownika, zwykle przez wszystkie cztery naraz. Ustalamy, którą z tych dróg zostawić i którą zamknąć, bo cztery równoległe kanały oznaczają cztery wersje tego samego rysunku.

Jak sprawdzamy dostęp do dokumentacji, którą ogląda pół branży?

Katalog inwestycji jest zbiorem, do którego z natury rzeczy zagląda dużo osób spoza firmy. Nie da się tego zmienić i nie o to chodzi w tym badaniu. Chodzi o to, żeby wgląd był przypisany do roli i kończył się razem z nią.

Rozbijamy to na cztery pytania. Kto ma dostęp do katalogu ofertowego, w którym leżą kosztorysy przed złożeniem. Kto ma dostęp do dokumentacji wykonawczej czynnych inwestycji. Kto do archiwum zamkniętych kontraktów, potrzebnego przy roszczeniach z rękojmi. I czy te trzy zbiory są w ogóle rozdzielone, bo w połowie badanych firm stanowią jeden udział sieciowy z nazwą typu „projekty”.

Sprawdzamy też ślad. Jeżeli po sześciu miesiącach nie da się odpowiedzieć na pytanie, kto pobrał komplet dokumentacji przed rozstrzygnięciem postępowania, to znaczy, że dzienniki dostępu albo nie są zbierane, albo nadpisują się co tydzień. Włączenie ich kosztuje jedno popołudnie pracy i jest zwykle najtańszą pozycją w całym raporcie.

Co dostajecie w raporcie i w jakiej kolejności to naprawiamy?

Raport ma trzy części. Pierwsza to zestawienie braków ułożone według skutku: najpierw to, co może zatrzymać budowę albo wyprowadzić z firmy kosztorys, potem to, co przeszkadza w codziennej pracy, na końcu porządki. Druga część opisuje stan faktyczny środowiska i bywa najczęściej używanym dokumentem w firmie przez kolejny rok, bo nikt wcześniej nie spisał, co gdzie stoi. Trzecia to plan z terminami i szacunkiem pracy.

Kolejność napraw ustalamy razem z Wami, bo część z nich wymaga decyzji biznesowej. Odebranie dostępu projektantowi, który dalej współpracuje przy innym kontrakcie, jest rozmową, a nie kliknięciem. Zamknięcie pendrive’ów w firmie, gdzie połowa ludzi wozi nimi zdjęcia z odbiorów, wymaga zaproponowania czegoś w zamian.

Naprawy możecie zrobić sami, zlecić nam albo podzielić. Zdalnie zamykamy większość pozycji z listy, na miejscu zostaje sprzęt i to, co wymaga podejścia do szafy. Warstwę stałą opisuje bezpieczeństwo IT dla firm Kielce, a wymagania regulacyjne NIS 2 dla firm Kielce.

Czego w tym badaniu nie robimy?

Nie prowadzimy testów penetracyjnych z próbą przełamania zabezpieczeń, bo to osobna praca o innym zakresie odpowiedzialności i innym koszcie. Nie oceniamy zgodności dokumentacji budowlanej z przepisami, bo to zupełnie inna dziedzina i nie mamy w niej kompetencji. Nie wydajemy certyfikatów ani zaświadczeń, ponieważ nasz raport jest opinią wykonawcy, a nie dokumentem jednostki certyfikującej.

Nie badamy też sterowników i automatyki maszyn w warsztacie, jeżeli pracują w sieci wydzielonej i nie mają połączenia z resztą środowiska. Sprawdzamy wyłącznie samą granicę między nimi a siecią biurową, bo to jest miejsce, w którym zaczyna się nasz zakres. Rozmowę o terminie umówicie przez kontakt.

Treść sprawdzona i zaktualizowana: 7 września 2026